導入
Organizations と SCP を手作業で組み立てるのは可能ですが、ベストプラクティスに沿った初期構築には手間がかかります。AWS Control Tower は、そのマルチアカウント環境の「土台（ランディングゾーン）」を自動で構築してくれるサービスです。
説明
AWS Control Tower は、Organizations・SCP・ログ集約・監査アカウントなどを、ベストプラクティスに沿って自動セットアップするサービスです。この初期構築済みの環境を ランディングゾーン（Landing Zone） と呼びます。
Control Tower を有効化すると、自動で次が作られます。
| 自動で作られるもの | 内容 |
|---|---|
| 基本OU構成 | Security OU（ログ／監査アカウント）などが自動作成される |
| ログアーカイブアカウント | 組織全体のCloudTrail・Configログを集約する専用アカウント |
| 監査アカウント | セキュリティチームが横断的に読み取り監査するための専用アカウント |
| ガードレール | あらかじめ用意された「必須」「推奨」のSCP・Config ルール群 |
Control Tower の「ガードレール」は3種類に分類されます。
| 種類 | 意味 | 実装の裏側 |
|---|---|---|
| 予防的（Preventive） | そもそも操作自体をできなくする | SCP |
| 検出的（Detective） | 望ましくない状態が起きたことを検知する | AWS Config ルール |
| プロアクティブ（Proactive） | リソース作成前に非準拠を弾く | CloudFormation フック |
新しいアカウントを増やす作業は Account Factory という機能でセルフサービス化できます。あらかじめ承認されたテンプレート（ネットワーク設定・ガードレール適用済み）に沿って、新規アカウントを数クリック（またはAPI・Service Catalog経由）で発行できるため、「アカウント発行を申請してから数日待つ」という運用負荷をなくせます。
flowchart TD
CT["AWS Control Tower"] --> LZ["ランディングゾーン<br/>（Organizations + OU + SCP を自動構築）"]
LZ --> LOG["ログアーカイブアカウント"]
LZ --> AUDIT["監査アカウント"]
CT --> AF["Account Factory"]
AF --> NEW["新規アカウントを<br/>ガードレール適用済みで自動発行"]
読んでみよう
「ゼロからマルチアカウント環境を素早く、ベストプラクティスに沿って構築したい」という要件が出たら Control Tower が第一候補です。既に Organizations で独自運用している大規模組織を Control Tower 配下に完全移行するのは実務上コストが高いため、SAPでは「新規に立ち上げる／これから統治を強化する」文脈で Control Tower が選ばれることを意識してください。